Cisco IOS: Embedded Packet Capture

Viele Cisco-Geräte erlauben es, direkt auf der Netzwerk-Schnittstelle Pakete mitzuschneiden. Wie das mit der PIX/ASA geht habe ich schon vor längerer Zeit beschrieben.

Seit IOS 12.4(20)T geht das auch auf dem Router. Steffen Lehmann von Systema hat dazu eine kleine Einführung gerschrieben und sie mir zur Verfügung gestellt:

Ab 12.4(20)T kann ohne großen Aufwand ein Router Interface gespiegelt werden und per ftp/tftp der Output im Wireshark kompatiblen Format exportiert werden.

Dies funktioniert auch für SUB Interfaces auf einem 802.1q Trunk .

Die Konfguration

1. Erstellen des Buffers

Hier wird der das Puffer File definiert, welches für die „gedumpten“ Pakete verwendet wird.

Router#monitor capture buffer >Buffer Filename<



2. Erstellen des Capture Point

Damit wird definiert, welche Source für eine bestimmte Session (Capture Point) genutzt wird.

Router#monitor capture point ip cef >CapturePointNameIF NameRichtung<



3. Zuordnung Buffer – Capture Point

Router#monitor capture point associate >CapturePointNameBuffer Filename<



4. Start des Capture

Router#monitor capture point start >CapturePointName<



5. Monitoring

Um festzustellen, wie viele Pakete schon gemonitort wurden, kann mit folgendem Kommando nachgesehen werden…

Router#show monitor capture buffer > Buffer Filename<



6. Beenden des Capture

Router#monitor capture point stop >CapturePointName<

7. Kopieren des Capture File auf externen Server

Router#monitor capture buffer >Buffer FilenameIPADRESSE>/>Dateiname<



Jetzt kann die Datei auf dem remote Rechner mit Wireshark geöffnet und analysiert werden.